KVKK 2026/921 İlke Kararı: Parmak İzi ve Yüz Tanımayla Mesai Takibi Neden Bitti, İşveren Ne Yapmalı?

Kişisel Verileri Koruma Kurulu, 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararıyla işyerlerinde yalnızca mesai takibi amacıyla biyometrik veri işlenmesini hukuka aykırı buldu. Karar 2 Haziran 2026 tarihli Resmî Gazete'de yayımlandı. Parmak izi okuyucu ya da yüz tanıma cihazıyla giriş çıkış kaydı tutan işverenler için bu, yöntem değiştirme zamanı demek. Bu yazıda kararın ne dediğini, kimi kapsadığını, istisnasını ve kartlı sisteme geçişin adımlarını anlatıyoruz.

Bu yazı bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Somut durumunuz için hukuk danışmanınıza başvurun.

Karar ne diyor?

Kurul, çalışanların devam takibi için parmak izi, avuç içi, yüz, iris ya da retina verisi işlenmesini üç ilke açısından değerlendirdi: ölçülülük, gereklilik ve veri minimizasyonu. Sonuç net: mesai takibi amacına şifreli kart, PIN ya da RFID/NFC kart gibi daha az müdahaleci yöntemlerle ulaşılabildiği için biyometrik veri işlemek bu ilkelere aykırı.

Kararın işverenler için en önemli üç cümlesi:

1. Açık rıza bu sonucu değiştirmiyor. Daha önce yaygın uygulama "her çalışandan açık rıza alırsak sorun olmaz" şeklindeydi. Kurul, rıza alınsa bile ölçülülük ilkesinin ihlal edildiğini söylüyor.
2. Şablona çevirmek biyometrik niteliği kaldırmıyor. Cihaz üreticilerinin "parmak izini saklamıyoruz, matematiksel koda çeviriyoruz" savunması kabul edilmiyor; şablon da biyometrik veridir.
3. İşverenin kayıt tutma yükümlülüğü dayanak değil. İş Kanunu çalışma sürelerini belgelemeyi zorunlu kılar, ama bu yükümlülük biyometrik yöntemi gerektirmez; kartla da yerine gelir.

Karar kimi kapsıyor?

Mesai, devam ve giriş çıkış takibi amacıyla biyometrik cihaz kullanan her işveren: fabrika, depo, mağaza, ofis, hastane, okul, site ve plaza. Çalışan sayısının ya da cihaz markasının önemi yok. Kurul daha önce de parmak iziyle mesai takibi yapan bir işverene idari para cezası uygulamıştı; ilke kararıyla bu yaklaşım genel kural haline geldi.

İstisna var mı?

Karar yalnızca mesai takibini kapsıyor. Kritik alanlara erişim kontrolü gibi farklı ve daha dar amaçlar ayrı değerlendiriliyor: örneğin bir ilaç deposuna ya da veri merkezine girişte, alternatif yöntemlerin yetersiz kaldığı ve ölçülülüğün gerekçelendirilebildiği durumlar. Buradaki kritik nokta amaç ayrımı: aynı cihazın hem kapıyı açıp hem mesai kaydı tutması, mesai takibi kısmını hukuka aykırı hale getirir.

İşveren şimdi ne yapmalı?

1. Envanter çıkarın. Hangi şubede hangi cihaz biyometrik çalışıyor, kaç çalışanın şablonu kayıtlı?
2. Yöntem seçin. Sabit girişli işyerleri için RFID kart ve PIN; saha, şantiye ve çok noktalı ekipler için telefonla konum doğrulamalı QR. İkisi aynı panelde birlikte çalışabilir.
3. Personel ve geçmiş kayıtları aktarın. Mevcut cihazın personel listesini ve geçmiş giriş çıkışlarını yeni sisteme taşıyın; puantaj tarihçesi kopmasın.
4. Biyometrik şablonları imha edin. Cihazdaki ve varsa sunucudaki parmak izi/yüz şablonlarını silin, imha tutanağı tutun. Saklama ve imha politikanızı güncelleyin.
5. Aydınlatma metnini yenileyin. Yeni yöntemin veri kategorilerine (kart numarası, giriş çıkış saati, isteğe bağlı okutma anı konumu) göre aydınlatma metni hazırlayın; çalışanlara ispat edilebilir biçimde sunun.
6. VERBİS ve envanteri güncelleyin. Kayıt yükümlülüğünüz varsa biyometrik veri kategorisini çıkarın.

"Kartı arkadaşına verir" endişesi

Biyometrik cihazların en güçlü satış cümlesi buydu. Kurul kararı bu endişeyi görmezden gelmiyor; yalnızca çözümün biyometri olmadığını söylüyor. Kartlı sistemde riski yöneten önlemler:

• Kart aynı zamanda kapı yetkisi taşır: kartını veren kişi kendisi içeri giremez.
• Panelde canlı "şu an içeride" listesi; sahada olmayan ama listede olan kişi hemen fark edilir.
• Aynı kartın kısa sürede iki cihazda okutulması ya da her gün aynı dakikada çift okutma kalıpları raporda uyarı üretir.
• Saha ekiplerinde okutma anı konum doğrulaması.
• İş sözleşmesinde "kart devredilemez" maddesi.

PDKS GO ile geçiş

PDKS GO baştan beri biyometrik cihaz satmaz; RFID kart, PIN ve telefonla QR ile çalışır. Parmak izi cihazından geçiş tek şube için bir gün sürer: personel listesi şablonla yüklenir, kartlar dağıtılır, cihaz uygulamadan Bluetooth ile kurulur, aydınlatma metni panelden üretilir. Ayrıntılar ve geçiş paketi için biyometrisiz PDKS sayfasına, KVKK'nın genel çerçevesi için PDKS ve KVKK yazısına bakabilirsiniz. Yazılımı 14 gün ücretsiz deneyebilirsiniz.

Sık sorulan sorular

Parmak izi cihazımı sadece kapı açmak için kullanmaya devam edebilir miyim?

Karar mesai takibini kapsıyor; erişim kontrolü ayrı ve dar bir değerlendirmeye tabi. Ancak aynı cihaz mesai kaydı da tutuyorsa sorun sürer. Bu ayrımı hukuk danışmanınızla netleştirin.

Çalışanlar rıza verdi, imzaları da var; yine de sorun mu?

Kurul açık rızanın ölçülülük ihlalini ortadan kaldırmadığını açıkça belirtiyor. İmzalı rıza formları bu kararda bir dayanak sağlamıyor.

Geçiş için süre tanındı mı?

İlke kararları yayımlandığı tarihte etkilidir; Kurulun kamuoyu duyurusunu ve güncel açıklamalarını takip edin. Geçişi ertelemek yerine planlamak en güvenli yol.

Yüz tanıma "temassız" diye farklı mı değerlendiriliyor?

Hayır. Yüz verisi de biyometrik veridir; karar parmak izi, avuç içi, yüz, iris ve retinayı aynı kapsamda ele alıyor.

Kaynak: Kişisel Verileri Koruma Kurulu'nun 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı (RG 02.06.2026) ve Kurumun kamuoyu duyurusu.